GDPR-bøtene skjøt i været i andre kvartal 2026

Finbolds analyse, publisert 20. august 2026, viser at europeiske personvernmyndigheter ila GDPR-bøter på 225 879 175 euro i andre kvartal 2026. Det tilsvarer rundt 2,48 millioner euro per dag – eller 17,36 millioner euro i uken.

Summen var omtrent 230 prosent høyere enn i første kvartal, da bøtene utgjorde 68,18 millioner euro. Dermed endte det samlede bøtebeløpet for første halvår på rundt 295 millioner euro.

Nederland sto for den største saken

Den største enkeltboten i kvartalet kom fra Nederland. Ridetech International B.V., selskapet som driver taxiappen Yango, ble ilagt en bot på rundt 100 millioner euro – i enkelte oversikter oppgitt til 100,25 millioner euro.

Det nederlandske datatilsynet fant mangelfulle sikkerhetstiltak ved overføring av personopplysninger til land utenfor EØS. Myndighetene beordret også at overføringer av data til Russland skulle stanses når kravene i personvernforordningen ikke var oppfylt.

Saken illustrerer hvor kostbare mangler i internasjonale dataoverføringer kan bli. Den nederlandske boten alene utgjorde nær halvparten av alle GDPR-bøtene som ble registrert i kvartalet.

Frankrike, Italia og Storbritannia fulgte etter

Flere andre store saker bidro til det kraftige hoppet:

• Frankrike: Telekomselskapene Free Mobile og Free fikk samlet bøter på 42 millioner euro. Free Mobile sto alene for 27 millioner euro.
• Italia: Banken Intesa Sanpaolo ble ilagt en bot på 31,8 millioner euro for mangler ved beskyttelsen av kundeopplysninger.
• Storbritannia: Det britiske datatilsynet ICO bøtela Reddit med 14,47 millioner pund, omtalt som rundt 16,61 millioner euro. Saken gjaldt blant annet utilstrekkelig alderskontroll og ulovlig bruk av barns personopplysninger. Reddit har anket selve boten.

Sikkerhet og behandlingsgrunnlag peker seg ut

De viktigste årsakene til bøtene var sikkerhetssvikt og behandling av personopplysninger uten et tilstrekkelig rettslig grunnlag. Yango-saken viser i tillegg at mangelfulle garantier ved dataoverføring til tredjeland kan utløse noen av de aller største sanksjonene.

Medie- og finanssektoren sto for seks av de ti største bøtene i andre kvartal. Det tyder på særlig høy eksponering i bransjer som håndterer store mengder personopplysninger, har tett kontakt med forbrukere eller er underlagt omfattende regulering.

Hva betyr utviklingen for selskaper?

Tallene viser at GDPR ikke bare er et juridisk etterlevelsesspørsmål. Personvernbrudd kan også bli en betydelig økonomisk og operasjonell risiko – særlig når virksomheten behandler data på tvers av landegrenser.

Selskaper som opererer i Europa, bør derfor prioritere:

• dokumenterte rettslige grunnlag for hver behandlingsaktivitet, inkludert gyldig samtykke der det kreves;
• solide tekniske og organisatoriske sikkerhetstiltak;
• effektiv alderskontroll og sterkere beskyttelse av barns personopplysninger;
• godt dokumenterte mekanismer for overføring til tredjeland, vurderinger av overføringsrisiko og nødvendige sikkerhetstiltak – særlig ved overføringer til jurisdiksjoner som Russland; og
• styreforankret oppfølging av behandling med høy risiko innen medier, teknologi, finans og telekom.

De konkrete beløpene fordelt på selskaper bygger delvis på en sekundær post i sosiale medier. Land- og selskapsoversikten bør derfor leses med noe forbehold. Finbolds samlede tall for andre kvartal og økningen fra kvartalet før er derimot direkte omtalt i analysen fra 20. august.